TELESHIM ใช้ Telegram เป็นเครื่องมือควบคุมเซิร์ฟเวอร์โจมตีรัฐบาลตะวันออกกลาง

นักวิจัยด้านความปลอดภัยทางไซเบอร์จาก Zscaler ThreatLabz ได้เปิดเผยถึงคลื่นการโจมตีครั้งใหม่โดยกลุ่มผู้ไม่หวังดีที่มีความเชื่อมโยงกับเอเชียตะวันออก โดยมุ่งเป้าไปที่หน่วยงานรัฐบาลในตะวันออกกลาง การบุกรุกดังกล่าวนำไปสู่การใช้งานมัลแวร์ตระกูลใหม่ที่ไม่เคยถูกเปิดเผยมาก่อน ซึ่งมีชื่อว่า TELESHIM, MIXEDKEY และ BINDCLOAK

ทีมวิจัยตรวจพบกิจกรรมดังกล่าวเมื่อต้นเดือนกรกฎาคมที่ผ่านมา โดยพบว่ากลุ่มผู้โจมตีใช้ Telegram แพลตฟอร์มส่งข้อความยอดนิยมเป็นเครื่องมือสำหรับ Command and Control หรือ C2 ซึ่งเป็นเทคนิคที่กำลังได้รับความสนใจในวงการความปลอดภัย เนื่องจากสามารถหลบเลี่ยงการตรวจจับจากระบบรักษาความปลอดภัยแบบดั้งเดิมได้

จุดเด่นของมัลแวร์ตระกูลใหม่ TELESHIM

TELESHIM เป็นมัลแวร์ที่ถูกออกแบบมาเพื่อใช้ Telegram Bot API ในการรับคำสั่งและขโมยข้อมูลจากเครื่องที่ติดเชื้อ โดยมัลแวร์นี้มีความสามารถในการรวบรวมข้อมูลที่ละเอียดอ่อน เช่น ข้อมูลรับรองการเข้าสู่ระบบ ไฟล์สำคัญ และประวัติการใช้งานเบราว์เซอร์ โดยส่งข้อมูลทั้งหมดกลับไปยังผู้โจมตีผ่านทางช่องทางการสื่อสารของ Telegram

การที่ผู้โจมตีเลือกใช้ Telegram ในการควบคุมเซิร์ฟเวอร์นั้น เป็นการฉวยโอกาสจากโครงสร้างพื้นฐานของแพลตฟอร์มที่ถูกต้องตามกฎหมาย ทำให้การจราจรของมัลแวร์ดูเหมือนการใช้งานปกติและยากต่อการตรวจจับโดยระบบรักษาความปลอดภัยทั่วไป

MIXEDKEY และ BINDCLOAK บทบาทในห่วงโซ่การโจมตี

นอกจาก TELESHIM แล้ว นักวิจัยยังพบมัลแวร์อีกสองตัวที่ถูกใช้ร่วมกันในการโจมตีครั้งนี้ MIXEDKEY เป็นเครื่องมือที่ใช้สำหรับการโจมตีแบบ Man-in-the-Middle หรือการดักจับข้อมูลระหว่างการสื่อสาร ขณะที่ BINDCLOAK ทำหน้าที่เป็นตัวโหลดและติดตั้งมัลแวร์อื่น ๆ ในระบบเป้าหมาย

การทำงานร่วมกันของมัลแวร์ทั้งสามตัวนี้ทำให้ผู้โจมตีสามารถเข้าถึงระบบเป้าหมายได้อย่างลึกซึ้ง และคงอยู่ภายในเครือข่ายได้เป็นเวลานานโดยไม่ถูกตรวจพบ มัลแวร์เหล่านี้ถูกส่งผ่านทางอีเมลฟิชชิ่งที่มีไฟล์แนบที่เป็นอันตราย หรือผ่านทางลิงก์ที่นำไปสู่การดาวน์โหลดมัลแวร์

ความเชื่อมโยงกับเอเชียตะวันออกและแนวโน้มการโจมตีรูปแบบใหม่

นักวิจัยระบุว่ากลุ่มผู้โจมตีนี้มีหลักฐานเชื่อมโยงกับเอเชียตะวันออก โดยวิเคราะห์จากลายเซ็นของโค้ด ภาษาโปรแกรมที่ใช้ และรูปแบบการทำงานที่คล้ายคลึงกับกลุ่มอาชญากรไซเบอร์ที่เคยถูกตรวจจับในอดีต กลุ่มนี้มักเลือกเป้าหมายที่เป็นหน่วยงานรัฐบาลและองค์กรขนาดใหญ่ในภูมิภาคตะวันออกกลาง

การใช้แพลตฟอร์มส่งข้อความอย่าง Telegram ในการควบคุมเซิร์ฟเวอร์เป็นเทรนด์ที่เพิ่มขึ้นเรื่อย ๆ ในโลกไซเบอร์ เนื่องจากแพลตฟอร์มดังกล่าวมีความยืดหยุ่นสูงและเป็นที่นิยมทั่วโลก ทำให้การตรวจจับและการตอบสนองต่อภัยคุกคามซับซ้อนมากขึ้น

คำแนะนำสำหรับองค์กรในการป้องกัน

องค์กรควรเพิ่มความระมัดระวังในการเปิดอีเมลหรือลิงก์ที่ไม่รู้จัก และควรใช้ระบบรักษาความปลอดภัยที่สามารถตรวจจับพฤติกรรมผิดปกติบนเครือข่ายได้ การฝึกอบรมพนักงานให้รู้เท่าทันภัยคุกคาม เช่น ฟิชชิ่งและการโจมตีผ่านวิศวกรรมสังคมเป็นสิ่งสำคัญ

นอกจากนี้ องค์กรควรติดตั้งระบบตรวจจับและป้องกันมัลแวร์ที่ทันสมัย และตรวจสอบการใช้งานแพลตฟอร์มส่งข้อความในเครือข่ายของตนเพื่อป้องกันไม่ให้ถูกใช้เป็นช่องทางในการโจมตี การอัปเดตซอฟต์แวร์และระบบปฏิบัติการอย่างสม่ำเสมอก็เป็นมาตรการพื้นฐานที่ช่วยลดความเสี่ยงได้

Reference

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 ดูสินค้าเพิ่มเติม mon.co.th